Depois de 20 anos tentando conectar riscos que não conversavam, criei a Aranis

Durante duas décadas da minha carreira, ajudei organizações a entender, estruturar e reduzir riscos.

Minha primeira experiência com gestão de riscos aconteceu ainda nas Forças Armadas. Naquele contexto, o ambiente era completamente diferente do que encontramos hoje, mas alguns princípios permaneceram: compreender cenários, estabelecer prioridades e tomar decisões diante da incerteza.

Ao longo dos anos, minha trajetória passou por consultorias, tecnologia, segurança da informação, continuidade de negócios e governança. Trabalhei em diferentes segmentos, com diferentes culturas organizacionais e diferentes níveis de maturidade.

O mercado mudou.

As tecnologias evoluíram.

Novos frameworks surgiram.

Novas regulamentações transformaram a forma como empresas enxergam riscos.

Mas uma pergunta continuou presente durante toda essa jornada: por que organizações com tantas ferramentas ainda tinham dificuldade para responder uma pergunta fundamental — qual é o risco real para o negócio?

Depois de anos convivendo com esse problema, percebi que a resposta não estava na falta de tecnologia. Estava na forma como construímos tecnologia para riscos.

O problema não era falta de ferramentas

Ao longo da carreira, tive contato com diferentes plataformas, metodologias e modelos de gestão. Cada solução tinha uma proposta válida. Cada ferramenta resolvia uma parte importante do problema.

Mas, ao mesmo tempo, a gestão de riscos foi sendo fragmentada em disciplinas cada vez mais especializadas:

• Cyber Security
• Continuidade de negócios
• Gestão de fornecedores
• Privacidade
• Compliance
• Auditoria
• Governança

O mercado criou excelentes soluções para necessidades específicas, mas perdeu algo essencial: a capacidade de conectar informações e construir uma visão integrada.

As organizações passaram a ter mais dados, mas nem sempre mais inteligência. Muitas vezes, profissionais extremamente qualificados gastavam mais tempo consolidando informações do que analisando riscos.

Planilhas.

Relatórios.

Apresentações.

Documentos.

Exportações de sistemas.

Informações importantes existiam, mas estavam espalhadas em diferentes lugares e formatos. E, no fim, a pergunta dos executivos continuava sendo a mesma:

"Por que esse risco é prioritário?"

"Qual impacto isso representa para o negócio?"

"Onde devo direcionar meu investimento?"

Responder essas perguntas exigia algo que nenhuma ferramenta isolada conseguia entregar: contexto.

Quando percebi que o problema também era de linguagem

Um dos momentos que mais influenciou minha visão aconteceu quando fui contratado para implementar um sistema de gestão de continuidade de negócios. Era meu primeiro contato mais próximo com uma área de tecnologia e rapidamente percebi que existia um desafio que ia além dos processos. Era uma questão de interpretação.

A palavra "incidente", por exemplo, possuía significados diferentes dependendo da área envolvida.

Para continuidade de negócios, um incidente estava relacionado a uma interrupção capaz de afetar um processo ou serviço crítico da organização.

Para tecnologia, o conceito frequentemente estava relacionado à interrupção ou falha de um ativo de TI, seguindo uma visão próxima à utilizada pelo ITIL.

Ambas as interpretações faziam sentido dentro de seus respectivos contextos. O problema era que, sem uma definição comum, áreas diferentes poderiam estar discutindo o mesmo tema a partir de perspectivas completamente distintas.

A solução encontrada na época foi utilizar a definição do NIST, que permitia uma abordagem mais ampla e adequada aos objetivos do projeto.

Aquele episódio trouxe uma percepção que carreguei durante toda minha carreira: gestão de riscos não é apenas identificar ameaças. É criar uma linguagem comum para que a organização consiga tomar decisões.

Quando separar ameaça de risco mudou uma decisão

Outro episódio aconteceu durante a construção de uma visão de riscos de continuidade de negócios. Durante uma discussão com um consultor mais experiente, surgiu a sugestão de incluir ransomware diretamente como um risco de continuidade.

Minha interpretação naquele momento foi diferente. Ransomware é uma ameaça. Ele pode causar uma interrupção, mas o risco organizacional não está necessariamente no malware em si. O risco está no impacto que uma indisponibilidade de serviços críticos de tecnologia pode causar ao negócio.

Essa diferença parece conceitual, mas muda completamente a forma como uma organização estrutura sua preparação.

Quando apresentamos os riscos ao CISO, uma das primeiras perguntas foi justamente se ransomware havia sido incluído como um risco de continuidade. Expliquei que a abordagem adotada considerava a interrupção dos serviços de TI como o risco organizacional, enquanto ransomware seria uma das possíveis causas desse evento — assim como falhas técnicas, indisponibilidade de fornecedores ou outras ameaças.

A abordagem foi validada pelo próprio CISO, que compartilhava dessa mesma visão.

Mais do que uma discussão de nomenclatura, aquele momento reforçou um princípio fundamental: bons processos de risco não dependem apenas de identificar ameaças conhecidas. Eles dependem de compreender como essas ameaças podem afetar os objetivos do negócio.

Da experiência prática para uma ideia de produto

A ideia da Aranis não nasceu inicialmente como uma startup. Nasceu como uma tentativa de resolver problemas reais.

Durante minha última experiência corporativa, no Grupo Energisa, uma das maiores empresas de infraestrutura do Brasil, tive a oportunidade de vivenciar desafios complexos relacionados à governança, tecnologia, continuidade e riscos. Foi também nesse período que amadureci uma visão construída ao longo de duas décadas de carreira.

Em uma das minhas experiências profissionais, tive liberdade para criar soluções utilizando Power BI e desenvolver automações utilizando Python.

O objetivo era simples:

• Reduzir trabalho manual
• Organizar informações
• Criar indicadores melhores
• Acelerar análises

O que antes exigia processos longos e repetitivos começou a ganhar velocidade. Foi nesse momento que surgiu uma percepção: talvez o mercado não precisasse de mais uma ferramenta. Talvez precisasse de uma forma diferente de conectar tudo aquilo que já existia.

O momento de transformar uma ideia em empresa

A ideia da Aranis amadureceu durante anos. Ela mudou de formato. Mudou de nome. Passou por diferentes fases.

Antes de Aranis, existiram outras possibilidades, como Grifo e VendorGuard, enquanto eu buscava entender qual deveria ser a identidade de uma empresa que nascesse com uma visão maior do que apenas uma ferramenta operacional.

A decisão de executar veio depois de um período de reflexão pessoal e profissional. Após enfrentar um momento difícil relacionado à saúde e perceber que continuar esperando o momento ideal poderia significar nunca começar, decidi transformar uma ideia antiga em realidade.

O projeto foi construído com recursos próprios, em um modelo bootstrap. Durante muito tempo, isso significou conciliar carreira corporativa, família e construção de uma empresa.

Foi um processo de escolhas.

Madrugadas.

Finais de semana.

Muito aprendizado.

A inteligência artificial mudou a velocidade de construir

A Aranis nasceu em um momento único da tecnologia. A inteligência artificial mudou completamente a velocidade com que ideias podem se transformar em produtos.

Mas a maior mudança não está apenas na capacidade de gerar código. Está na possibilidade de profissionais que conhecem profundamente um problema conseguirem construir soluções sem depender exclusivamente de grandes estruturas técnicas.

Sempre enxerguei desenvolvimento como algo maior do que escrever linhas de código. Ferramentas mudam. A capacidade de entender problemas, escolher a tecnologia adequada e construir soluções continua sendo essencial.

A IA não substitui especialistas. Ela amplia sua capacidade.

A Aranis nasceu maior que TPRM

O primeiro passo da Aranis foi resolver um problema conhecido: gestão de riscos de terceiros. Durante minha carreira, acompanhei como avaliações de fornecedores poderiam consumir grande quantidade de tempo e esforço, especialmente quando envolviam centenas de evidências e diferentes áreas.

Mas rapidamente ficou claro que o desafio era maior. Riscos não acontecem isoladamente.

Um fornecedor pode representar um risco cibernético. Uma deficiência de governança pode comprometer controles. Um fator humano pode gerar impacto operacional. Uma vulnerabilidade técnica pode gerar consequências regulatórias.

Por isso, a Aranis evoluiu para uma visão mais ampla: uma plataforma de inteligência de riscos corporativos para organizações que possuem sua operação baseada em tecnologia.

O TPRM é o ponto de partida. A visão é conectar Cyber Risk, Human Risk, Compliance, Continuidade e outras dimensões que hoje ainda são tratadas separadamente.

A missão da Aranis

A Aranis nasceu com uma missão clara: centralizar o que já existe, conectar o que estava separado e transformar informações dispersas em inteligência de risco capaz de apoiar decisões.

Para um CISO, isso significa tomar decisões com uma visão mais concreta do cenário. Para um executivo, significa entender onde direcionar investimentos. Para organizações menores, significa ter acesso a uma capacidade de gestão de riscos que antes estava restrita a empresas com grandes estruturas.

Uma nova etapa da jornada

Depois de 20 anos ajudando empresas a compreender seus riscos, inicio agora uma nova etapa profissional.

A Aranis não nasceu de uma tentativa de criar tecnologia pela tecnologia. Ela nasceu de uma pergunta que me acompanhou durante toda a carreira: como transformar informações fragmentadas em uma visão de risco realmente útil para tomada de decisão?

Acredito que compliance e gestão de riscos não deveriam ser vistos como burocracia ou custo. Organizações resilientes protegem negócios. Protegem empregos. Protegem pessoas.

A Aranis nasce com a missão de democratizar o acesso à inteligência de riscos e ajudar organizações a construírem uma operação mais preparada para o futuro.

Essa é apenas a primeira etapa da jornada.